Linux遠(yuǎn)程訪問及控制方式
更新時間：2024年09月13日 16:34:30 作者：活老鬼
SSH（Secure Shell）是一種協(xié)議,用于安全地通過不安全的網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程登錄和其他網(wǎng)絡(luò)服務(wù),OpenSSH是SSH協(xié)議的一種開源實現(xiàn),它支持?jǐn)?shù)據(jù)加密,能有效防止信息泄露,適用于多種操作系統(tǒng),SSH配置包括服務(wù)端和客戶端,可以通過密碼或密鑰對驗證方式進(jìn)行身份驗證
一、SSH遠(yuǎn)程管理
1. SSH概述
SSH（Secure Shell）協(xié)議
- SSH是一種安全通道協(xié)議,主要用來實現(xiàn)字符界面的遠(yuǎn)程登錄，遠(yuǎn)程復(fù)制等功能。
- SSH協(xié)議對通信雙方的數(shù)據(jù)傳輸進(jìn)行了加密處理，其中包括用戶登陸時輸入的口令。
OpenSSH
OpenSSH是實現(xiàn)SSH協(xié)議的開源軟件項目，適用于各種UNIX、Linux操作系統(tǒng)。
- 服務(wù)名稱：sshd
- 默認(rèn)端口號：22
- 服務(wù)端主程序：/usr/sbin/sshd
- 服務(wù)端配置文件：/etc/ssh/sshd_config
- 客戶端配置文件：/etc/ssh/ssh_config
2.SSH的優(yōu)點
- SSH是較可靠，專為遠(yuǎn)程登錄會話和其他網(wǎng)絡(luò)服務(wù)提供安全性的協(xié)議
- 利用SSH協(xié)議可以有效防止遠(yuǎn)程管理過程中的信息泄露問題
- SSH最初是Unix系統(tǒng)中的一個程序，后來又迅速擴(kuò)展到其他操作平臺
- SSH在正確使用時可彌補(bǔ)網(wǎng)絡(luò)中的漏洞
- 數(shù)據(jù)傳輸?shù)倪^程是加密的，具有安全穩(wěn)定的特點
- 數(shù)據(jù)傳輸?shù)姆绞绞菈嚎s的，可以提高傳輸速度
3.配置OpenSSH客戶端
- shd_config配置文件的常用選項設(shè)置
vi /etc/ssh/sshd_config ...... Port 22 #監(jiān)聽端口為 22 ListenAddress 0.0.0.0 #監(jiān)聽地址為任意網(wǎng)段，也可以指定OpenSSH服務(wù)器的具體IP LoginGraceTime 2m #登錄驗證時間為 2 分鐘 PermitRootLogin no #禁止 root 用戶登錄 MaxAuthTries 6 #最大重試次數(shù)為 6 PermitEmptyPasswords no #禁止空密碼用戶登錄 UseDNS no #禁用 DNS 反向解析，以提高服務(wù)器的響應(yīng)速度 AllowUsers zhangsan lisi wangwu@61.23.24.25 #只允許zhangsan、lisi、wangwu用戶登錄，且其中wangwu用戶僅能夠從IP地址為61.23.24.25的主機(jī)遠(yuǎn)程登錄 DenyUsers zhangsan #禁止某些用戶登錄，用法于AllowUsers類似（注意不要同時使用）
4.sshd服務(wù)支持的兩種驗證方式
密碼驗證
- 對服務(wù)器中本地系統(tǒng)用戶的登錄名稱、密碼進(jìn)行驗證。
- 簡便，但可能會被暴力/破解
密鑰對驗證
- 有球提供相匹配的密鑰信息才能通過驗證。
- 通常先在客戶端中創(chuàng)建一對密鑰文件（公鑰、私鑰），然后將公鑰文件放到服務(wù)器中的指定位置。
- 遠(yuǎn)程登錄時，系統(tǒng)將使用公鑰、私鑰進(jìn)行加密\解密關(guān)聯(lián)驗證。
- 能夠增強(qiáng)安全性，且可以免交互登錄
5. 使用SSH客戶端程序
5.1 ssh - 遠(yuǎn)程登錄
ssh "選項" "用戶名"@"ip\名稱" 例： ssh -p 1022 zhangsan@20.0.0.13 # "-p"指定端口號
5.2 scp - 遠(yuǎn)程復(fù)制
- 下行復(fù)制：
scp "用戶名"@"ip/名稱":"被復(fù)制的遠(yuǎn)程主機(jī)文件路徑" "復(fù)制到的本機(jī)文件路徑" 例：scp root@20.0.0.13:/etc/passwd /root/passwd10.txt
- 上行復(fù)制：
scp "被復(fù)制的本機(jī)文件路徑" "用戶名"@"ip\名稱":"復(fù)制到的遠(yuǎn)程主機(jī)文件路徑" 例：scp /root/passwd root@20.0.0.13:/etc/passwd10.txt
- "-r"選項：遞歸復(fù)制目錄
- "-P"選項：指定端口號
6.配置密鑰對驗證
1.在客戶端使用ssh-keygen工具創(chuàng)建密鑰對文件（可用的加密算法為RSA、ECDSA、DSA等）
ssh-kegen -t rsa #"-t"選項：指定加密算法類型
[root@wzx ssh]# ssh-keygen -t rsa Generating public/private rsa key pair. Enter file in which to save the key (/root/.ssh/id_rsa): #指定私鑰位置（回車默認(rèn)） Created directory '/root/.ssh'. Enter passphrase (empty for no passphrase): #設(shè)置私鑰密碼（回車默認(rèn)） Enter same passphrase again: #確認(rèn)輸入（回車默認(rèn)） Your identification has been saved in /root/.ssh/id_rsa. Your public key has been saved in /root/.ssh/id_rsa.pub. The key fingerprint is: SHA256:GqXMgBqBoMByselDeDiNraMgVv17fJrXb7FQ0NHGl5o root@wzx The key's randomart image is: +---[RSA 2048]----+ |B .. .o+| |=O.+. . o=| |O.O... . +..| | O. +.o E . | |*.o =.S . | |=. . oo . . | |. .. o .. . o| | . +. . o | | o. o. | +----[SHA256]-----+
- 生成的私鑰、公鑰文件默認(rèn)存放在宿主目錄中的隱藏目錄.ssh/下
2.將公鑰文件上傳至服務(wù)器
ssh-copy-id root@20.0.0.12 "-i"選項：指定密鑰文件
[root@wzx ssh]# ssh-copy-id root@20.0.0.12 /usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub" The authenticity of host '20.0.0.12 (20.0.0.12)' can't be established. ECDSA key fingerprint is SHA256:1R40yTT7DYnXgxAb8W4TabvlPcU9038lLVjDrQqnpnA. ECDSA key fingerprint is MD5:03:ae:25:33:8f:08:48:80:85:d4:3a:73:f2:49:83:a4. Are you sure you want to continue connecting (yes/no)? yes /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed /usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys root@20.0.0.12's password: Number of key(s) added: 1 Now try logging into the machine, with: "ssh 'root@20.0.0.12'" and check to make sure that only the key(s) you wanted were added.
3.使用密鑰對驗證登錄
ssh root@20.0.0.12
[root@wzx ssh]# ssh root@20.0.0.12 Last login: Mon Aug 19 23:47:41 2024 from 20.0.0.1
二、TCP Wrappers訪問控制
1.TCP Wrappers 概述
- TCP Wrapper 機(jī)制的保護(hù)對象為各種網(wǎng)絡(luò)服務(wù)程序，針對訪問服務(wù)的客戶端地址進(jìn)行訪問控制。
- 對應(yīng)的兩個策略文件為：/etc/hosts.allow 和 /etc/hosts.deny ，分別用來設(shè)置允許和拒絕的策略。
格式：
"服務(wù)程序列表":"客戶端地址列表"
(1) 服務(wù)程序列表：
- ALL：代表所有的服務(wù)
- 單個服務(wù)程序：如"vsftpd"
- 多個服務(wù)程序組成的列表：如"vsftpd.sshd"
(2) 客戶端地址列表：
- ALL：代表任何客戶端地址
- LOCAL：代表本機(jī)地址
- 多個地址以逗號分隔
- 允許使用通配符"*"、"?"，
- 網(wǎng)段地址，如 192.168.20. 或 192.168.20.0/255.255.255.0
- 區(qū)域地址，如".benet.com"
2. TCP Wrappers 機(jī)制的基本原則
首先檢查/etc/hosts.allow（白名單）文件，如果找到相匹配的策略，則允許訪問；
否則繼續(xù)檢查/etc/hosts.deny（黑名單）文件，如果找到相匹配的策略，則拒絕訪問；
如果檢查上述兩個文件都找不到相匹配的策略，則運行訪問。
- 允許所有，拒絕個別：
只需在/etc/hosts.deny文件中添加相應(yīng)的拒絕策略
- 允許個別，拒絕所有：
除了在/etc/hosts.allow中添加允許策略之外，還需要再/etc/hosts.deny文件中設(shè)置"ALL:ALL"的拒絕策略。
三、對稱密鑰與非對稱密鑰
1.對稱密鑰（Symmetric Key）
對稱密鑰加密，又稱為私鑰加密或會話密鑰加密算法，是一種加密和解密使用相同密鑰或可以相互推算的密鑰對的加密方式。
優(yōu)點：
- 加解密速度快，適合處理大量數(shù)據(jù)
缺點：
- 密鑰管理困難，泄露風(fēng)險大
2.非對稱密鑰（Asymmetric Key）
非對稱密鑰加密，又稱為公鑰密鑰加密，它需要使用一對密鑰來分別完成加密和解密操作。這對密鑰包括一個公鑰和一個私鑰，公鑰可以公開發(fā)布，而私鑰則由用戶自己秘密保存。
優(yōu)點：
- 泄露風(fēng)險低
缺點：
- 加解密速度慢
四、在終端中使用私鑰文件登錄服務(wù)器
1.在服務(wù)端中生成密鑰
[root@wzx ~]# ssh-keygen -t rsa Generating public/private rsa key pair. Enter file in which to save the key (/root/.ssh/id_rsa): Created directory '/root/.ssh'. Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /root/.ssh/id_rsa. Your public key has been saved in /root/.ssh/id_rsa.pub. The key fingerprint is: SHA256:xfbf6ZBU+BSvX7kPn4Pyu//Ug5kvOiZI2m6Bndv77Qg root@wzx The key's randomart image is: +---[RSA 2048]----+ | . | | . . o| | + . o.| | o . +..| | o S ...o.| | . = ..=o=| | + =E *++=| | . = o.+oo+=+| | o. .=+**==*| +----[SHA256]-----+
2.將id_rsa私鑰文件導(dǎo)出到客戶端（可使用ftp工具等）
3.找到公鑰文件并追加到authorized_keys文件內(nèi)
[root@wzx ~]# cd .ssh [root@wzx .ssh]# ls id_rsa id_rsa.pub [root@wzx .ssh]# cat id_rsa.pub >> authorized_keys [root@wzx .ssh]# ls authorized_keys id_rsa id_rsa.pub [root@wzx .ssh]# cat authorized_keys ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC6bCV0EHdsXSD83CG4iNl81D1vDLiuywSsbj+3ANQOK4qRWNPOHfOIBXGANZQsT+33CrJY4ZvFnvcIeWpS+/fYyFnTekHPzuOROzcZYfkBxm1SB7YM5pLnHr8YdyUCOaYUhLYBuBixm80l1QvVOPnNRkKgzcOsOQSpOihGXgAa2d7lbOnr8UOO/aJ/6FQ2xxcCEcP9sG3h/uvCi7BP430XQPmfVksRm/tR+8sPNJNzioXgIoh5Sc6Rqp2C1IC3Krx3um4FCyqJJZJ6I7uY74g+L/Nt7IT3qTr13zVVjEAktNV0zMvdxRTNnIzEWTrhwEDASzJs3ewDjv1FESGErHTH root@wzx
4.配置sshd_config文件
ot@wzx .ssh]# vim /etc/ssh/sshd_config ...... PubkeyAuthentication yes #啟用公鑰驗證 ...... [root@wzx .ssh]# systemctl restart sshd #重啟刷新配置
5.在終端中設(shè)置私鑰登錄
6.登錄
成功登錄且不用輸入密碼
總結(jié)
以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。
相關(guān)文章
linux環(huán)境openssl、openssh升級流程
該文章詳細(xì)介紹了在Ubuntu 22.04系統(tǒng)上升級OpenSSL和OpenSSH的方法,首先,升級OpenSSL的步驟包括下載最新版本、安裝編譯環(huán)境、備份和安裝、驗證等,然后,升級OpenSSH的步驟包括下載最新版本、安裝相關(guān)依賴、解壓和編譯安裝、查看版本、備份替換文件、重啟服務(wù)等2025-03-03
文章介紹了MySQL數(shù)據(jù)庫的安裝和配置過程,包括跳過密碼登錄、修改配置文件、重啟服務(wù)以及密碼加密設(shè)置等步驟2026-02-02
在Linux中清空catalina.out日志文件的方法有多種,包括使用echo或重定向、truncate命令、以及cat和/dev/null,在執(zhí)行這些操作前,請確保你有寫入權(quán)限,并考慮Tomcat服務(wù)的狀態(tài),以避免日志信息丟失2025-11-11
Linux使用zip壓縮命令壓縮文件實現(xiàn)方式(排除不需要的文件)
Linux中使用zip命令壓縮文件的方法,包括-r參數(shù)指定壓縮包名,-x參數(shù)排除特定文件,-j只保存文件內(nèi)容不保存目錄結(jié)構(gòu)等選項2026-04-04
Linux環(huán)境下使用Claude Code的實戰(zhàn)指南
本文記錄我在 Linux 環(huán)境下使用 Claude Code 的實踐,涵蓋 ClawGod 運行時補(bǔ)丁 的安裝原理、cc-switch-cli 多供應(yīng)商 API 管理,以及 Linux 虛擬機(jī)無限制模式 的開啟方法,需要的朋友可以參考下2026-05-05
在Linux操作系統(tǒng)中,獲取時間是一個基本且重要的功能,本文旨在全面總結(jié)Linux系統(tǒng)中獲取時間的方法,包括命令行工具和編程接口,幫助讀者深入理解Linux時間管理的機(jī)制,需要的朋友可以參考下2025-03-03
Linux調(diào)整系統(tǒng)最大文件打開數(shù)限制的實戰(zhàn)指南
在現(xiàn)代高并發(fā)服務(wù)架構(gòu)中,Linux系統(tǒng)的文件描述符（File Descriptor）管理能力直接決定了應(yīng)用的穩(wěn)定性和吞吐量,本文將帶你深入理解Linux文件描述符機(jī)制,手把手教你如何正確調(diào)整系統(tǒng)最大文件打開數(shù)限制,并結(jié)合真實Java代碼示例,讓你的應(yīng)用穩(wěn)如泰山2026-04-04
Linux系統(tǒng)安裝NoSQL（MongoDB和Redis）步驟及問題解決辦法(總結(jié)篇)
這篇文章主要介紹了Linux系統(tǒng)安裝NoSQL（MongoDB和Redis）步驟及問題解決辦法的相關(guān)資料，本文分步驟給大家介紹的非常詳細(xì)，具有參考借鑒價值，感興趣的朋友一起看看吧2016-10-10
CentOS下命令行實現(xiàn)普通用戶和root用戶切換的實例
今天小編就為大家分享一篇CentOS下命令行實現(xiàn)普通用戶和root用戶切換的實例，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2018-06-06
linux保留端口避免被隨機(jī)分配占用方式(ip_local_reserved_ports)
文章分析Nginx服務(wù)器偶發(fā)端口沖突問題,指出因端口復(fù)用機(jī)制導(dǎo)致的連接數(shù)虛高現(xiàn)象,提出通過擴(kuò)大端口范圍、保留特定端口及分離Nginx與應(yīng)用服務(wù)部署的解決方案,強(qiáng)調(diào)端口動態(tài)分配特性與實際資源消耗的差異2025-09-09